Paramètres importants à bloquer pour la sécurité de l'accès des utilisateurs externes

Le partage de fichiers et le travail avec des utilisateurs externes sont des éléments clés dans le monde du travail d’aujourd’hui. Mais toutes les portes ne devraient pas être ouvertes ; il est plus sûr d’en verrouiller certains plutôt que de les laisser vulnérables…. Ce blog est votre guide pour améliorer les paramètres de sécurité de votre partage externe Microsoft 365. Nous vous guiderons à travers les paramètres essentiels à bloquer, afin que les collaborateurs externes puissent travailler ensemble en toute sécurité sans compromettre vos informations sensibles.❌

Mais avant de commencer, abordons une distinction clé qui pourrait dérouter certains d’entre nous.

Différence entre l'accès externe et l'accès invité dans Microsoft 365 ?

Ces termes sont souvent utilisés de manière interchangeable dans Microsoft 365. Pour résumer, imaginons que vous soyez dans le locataire « Contoso » et moi dans le locataire Fabrikam.

Utilisateur externe : Imaginez que vous, Contoso, m'invitez, depuis Fabrikam, à accéder à un document. Lorsque je clique sur le lien, je suis invité à me connecter. Voici le problème : même si j'accède au document Contoso, je me connecte en fait via Fabrikam. Donc, techniquement, je suis un utilisateur externe de Contoso, même si j'accède à leur contenu.

Utilisateur invité : imaginez maintenant que Contoso crée un compte distinct pour moi dans son système. Ainsi, lorsque je me connecte, j’utilise des informations d’identification entièrement gérées par Contoso. Dans ce cas, mon processus d’authentification est interne au système Contoso, même si je suis toujours considéré comme un utilisateur invité.

Donc, en un mot, dans le premier scénario, je m'authentifie en externe via Fabrikam, tandis que dans le deuxième scénario, je m'authentifie en interne au sein du système Contoso en tant qu'invité.

Maintenant, en espérant que vous compreniez clairement la différence, plongeons-nous dans le concept.

Quels sont les paramètres essentiels à bloquer pour les utilisateurs externes dans Microsoft 365 ?

Premièrement, pourquoi bloquer les accès externes ? La collaboration est la clé, mais un accès externe incontrôlé peut constituer une menace pour la sécurité. Les utilisateurs externes peuvent accidentellement (ou même par malveillance) télécharger des documents sensibles, transférer des e-mails confidentiels ou introduire des menaces de logiciels malveillants. En mettant en œuvre les paramètres de blocage appropriés, vous pouvez garantir un environnement sécurisé et contrôlé pour vos données M365.

Nous avons classé pour vous les paramètres de sécurité en fonction de différents services dans Microsoft 365. Commençons!

• Équipes Microsoft
• SharePoint et OneDrive
• Identifiant Microsoft Entra
• Échange en ligne

Microsoft Teams

1. Limiter la création de canaux d'utilisateurs externes

Autoriser des utilisateurs externes à créer des canaux peut présenter des risques de sécurité, car ils peuvent créer par inadvertance ou intentionnellement des canaux qui exposent des informations sensibles ou invitent des participants non autorisés.

Pour empêcher les utilisateurs externes de créer des canaux dans Teams, procédez comme suit.

Étape 1 : Allez dans l'équipe correspondante -> cliquez sur les trois points -> Gérer l'équipe
Étape 2 : Dans la liste des onglets, sélectionnez Paramètres -> Ensuite, Autorisations invité.
Étape 3 : Dans Activer la création de chaînes, assurez-vous que les options suivantes sont désactivées.

• Autorisez les invités à créer et mettre à jour des chaînes.
• Autorisez les invités à supprimer des chaînes.

Comme pratique de sécurité supplémentaire, vous pouvez auditer les créations de canaux MS Teams à l’aide de PowerShell.

2. Respecter les restrictions du règlement pour les utilisateurs externes

Dans le centre d'administration Teams, sous la section Réunions, sélectionnez Politiques de réunion. Ici, vous pouvez trouver quelques paramètres dans la « Politique globale par défaut à l'échelle de l'organisation ».

• Qui peut contourner le hall : contrôle qui peut rejoindre directement une réunion et qui doit attendre dans le hall jusqu'à ce qu'il soit admis. Ici, vous pouvez utiliser les options « Personnes de mon organisation et invités » et « Personnes de mon organisation, organisations de confiance et invités » pour contrôler les utilisateurs externes.
• Les participants externes peuvent donner ou demander le contrôle. La désactivation de cette option désactive la possibilité pour les utilisateurs externes et les invités de demander des personnes sur l'écran partagé de votre organisation lors d'une réunion Teams.

3. Prévention des pertes de données pour les équipes

Les stratégies Microsoft 365 DLP jouent un rôle majeur dans les paramètres de sécurité de Teams. Le déploiement de Data Loss Prevention (DLP) pour les utilisateurs externes dans Microsoft Teams implique la mise en œuvre de politiques visant à protéger les informations sensibles contre le partage ou la fuite en dehors de l'organisation. Par exemple, nous pouvons créer une stratégie DLP pour bloquer le partage d'informations sensibles telles que les numéros de carte de crédit au sein de Microsoft Teams par des utilisateurs externes.

4. Bloquez le téléchargement des fichiers d'enregistrement des réunions Teams depuis SharePoint ou OneDrive

Vous pouvez restreindre le téléchargement des fichiers d’enregistrement des réunions Teams à partir de SharePoint ou OneDrive. Pour activer la stratégie, exécutez l’applet de commande suivante.

Set-SPOTenant -BlockDownloadFileTypePolicy <$true/$false(default)>  -BlockDownloadFileTypeIds  TeamsMeetingRecording

Une fois la stratégie activée, le téléchargement ou la synchronisation de tous les nouveaux fichiers d'enregistrement de réunion Teams créés par Teams et enregistrés dans SharePoint et OneDrive sont bloqués pour tous les utilisateurs externes.

Voici les configurations que vous pouvez envisager de mettre en place avant même d'inviter des utilisateurs externes dans votre organisation.

5. Désactivez l'accès externe dans Microsoft Teams

Si vous n'êtes pas une organisation qui aura besoin de communiquer avec des utilisateurs externes, vous pouvez les désactiver directement dans le centre d'administration Teams, au lieu de les laisser ouverts pour être activés.

Pour empêcher les utilisateurs de votre organisation de communiquer avec des utilisateurs externes, vous devez désactiver l'option suivante. En désactivant cette option, les utilisateurs ne peuvent plus discuter, ajouter des utilisateurs externes aux réunions, utiliser la conférence audio-vidéo avec des utilisateurs externes, etc.

Étape 1 : Connectez-vous au centre d'administration Microsoft Teams.
Étape 2 : Sélectionnez les utilisateurs > Accès externe.
Étape 3 : Sous Utilisateurs Teams et Skype Entreprise dans des organisations externes -> sélectionnez Bloquer tous les domaines externes.

Vous pouvez également désactiver l'accès invité dans Microsoft Teams. Pour ce faire, accédez au Centre d'administration Microsoft Teams ->Utilisateurs -> Accès invité. Ici, vous pouvez gérer les paramètres d'appel, de réunion et de messagerie pour les utilisateurs invités.

6. Astuce bonus : bloquez tous les sous-domaines des domaines dans la liste de blocage

Microsoft Teams propose désormais une fonctionnalité qui permet aux organisations d'améliorer leurs capacités de blocage de domaines en incluant tous les sous-domaines des domaines répertoriés dans la liste de blocage de la fédération (MC770792). Ce paramètre est désactivé par défaut et peut être activé à l’aide de l’applet de commande PowerShell suivante.

Par exemple, si « fabrikam.com » est inclus dans la liste de blocage et que ce paramètre est activé, tous les sous-domaines associés tels que « sub.fabrikam.com » et « locataire.fabrikam.com » seront également automatiquement bloqués.

Set-CsTenantFederationConfiguration -BlockAllSubdomains $True

SharePoint et OneDrive

Le centre d’administration SharePoint dispose d’une variété de paramètres qui peuvent être utilisés pour limiter le partage externe.

Étape 1 : accédez au centre d'administration SharePoint.
Étape 2 : Sélectionnez Partage sous "Politiques".
Étape 3 : Vous trouverez une gamme d'options que vous devez configurer pour limiter le partage externe dans SharePoint.

1. Désactiver les liens anonymes :

Désactivez cette option pour empêcher les utilisateurs invités de créer des liens anonymes de partage. Cela élimine le risque de partage incontrôlé via des liens transférés ou des fuites accidentelles.

2. Restreindre le partage externe par domaine

Restreindre le partage externe par domaine vous permet de spécifier des domaines de messagerie de confiance (par exemple, ceux de vos partenaires) pour le partage externe. Cela garantit que seules les personnes autorisées de ces organisations peuvent accéder au contenu partagé, réduisant ainsi le risque d'accès non autorisé à partir de domaines inconnus.

3. Limiter le partage externe à des utilisateurs spécifiques dans M365

Bien que vous ayez désactivé « l’option de partage externe », si certains de vos utilisateurs ont besoin de cette fonctionnalité, il existe un moyen ! Cette option restreint le partage externe à un groupe désigné d'utilisateurs au sein de votre organisation. Seuls les membres de ce groupe peuvent partager des fichiers, des dossiers et des sites avec des tiers. De ce fait, seul le personnel autorisé peut partager des informations sensibles et limite les fuites accidentelles par d’autres utilisateurs.

4. Imposer l'utilisation par les invités du compte invité

Par défaut, les invités peuvent recevoir une invitation sur un compte mais se connecter avec un autre compte.

Cela empêche les invités d'utiliser un compte différent de celui avec lequel ils ont été invités. Cela garantit que la personne concernée accède aux informations et empêche tout accès non autorisé via d'autres comptes. Ce paramètre s’applique uniquement au partage qui n’utilise pas la collaboration Microsoft Entra B2B.

5. Empêcher les utilisateurs externes de repartager des fichiers et des dossiers dans SharePoint

Par défaut, les utilisateurs invités peuvent partager des éléments qu'ils ne possèdent pas avec d'autres utilisateurs ou invités. Pour désactiver ce comportement, vous pouvez décocher cette option. Par conséquent, les utilisateurs invités ne peuvent pas repartager des éléments qu’ils n’ont pas créés.

6. Limiter l'expiration de l'accès invité :

La définition de l’expiration de l’accès des invités dans SPO définit une limite de temps pendant laquelle les invités peuvent accéder aux sites SharePoint et aux dossiers OneDrive. Cela garantit un accès temporaire pour des projets ou des collaborations spécifiques et révoque automatiquement l'accès après une période définie.

7. Empêcher les utilisateurs de synchroniser les fichiers

Les administrateurs peuvent empêcher les utilisateurs externes de synchroniser des fichiers sur leurs appareils locaux à l'aide de ce paramètre. Cela s'applique également aux utilisateurs internes et ne peut pas être activé de manière sélective uniquement pour les utilisateurs externes.

• Accédez au site sur lequel vous souhaitez désactiver la synchronisation.
• Sélectionnez l'icône d'engrenage dans le coin supérieur droit ->informations sur le site -> Afficher tous les paramètres.
• Recherchez Recherche et disponibilité hors connexion sous Rechercher.
• Sous Disponibilité du client hors ligne, sélectionnez Non (la valeur par défaut est Oui).
• Cliquez sur OK en bas de la page.

ID Microsoft Entra

1. Empêcher les utilisateurs externes de télécharger des fichiers Office 365

Pour empêcher les utilisateurs externes de télécharger des fichiers à partir de SharePoint, OneDrive et d'autres applications Office 365, utilisez la stratégie d'accès conditionnel dans Microsoft Entra ID.

Étape 1 : Connectez-vous au centre d'administration Microsoft Entra ID -> Protection -> Accès conditionnel.
Étape 2 : Créez une nouvelle stratégie et fournissez un nom approprié.
Étape 3 : Sélectionnez Utilisateurs -> Sélectionnez les utilisateurs et les groupes -> Utilisateurs invités ou externes -> Sélectionnez tout.
Étape 4 : dans la section Ressources cibles, sélectionnez Applications cloud.
Étape 5 : Sous Inclure, sélectionnez Applications ->Office 365. Il inclut Microsoft Teams, SharePoint, OneDrive, etc. Vous pouvez également sélectionner des applications individuelles.
Étape 6 : Voici la partie principale qui fait réellement le travail. La section Contrôle de session comporte une option Utiliser le contrôle des applications à accès conditionnel. Dans la liste déroulante, sélectionnez Bloquer les téléchargements (aperçu).

2. Empêcher les utilisateurs externes de se connecter aux applications de bureau

Afin de protéger les données sensibles, une entreprise donne accès à ses applications de bureau uniquement aux employés autorisés au sein du réseau, empêchant ainsi les utilisateurs externes de se connecter. Cette mesure atténue le risque d'accès non autorisé.

Créez une politique d'accès conditionnel similaire en suivant les étapes exactes que nous avons expliquées ci-dessus jusqu'à l'étape 5. Après cela,

Étape 6 : dans l'onglet Conditions, sélectionnez Applications clientes.
Étape 7 : Basculez le bouton Configurer sur Oui.
Étape 8 : Ensuite, sous les contrôles d'accès, sélectionnez Accorder -> Bloquer l'accès.

Impact : Par conséquent, l'utilisateur ne pourra accéder qu'à partir d'un navigateur Web.

3. Paramètres de collaboration externe Entra ID

L'ID externe Microsoft Entra vous permet de restreindre ce que les utilisateurs invités externes peuvent voir dans votre Microsoft Entra. Par exemple, vous pouvez limiter l’affichage des adhésions aux groupes par les utilisateurs invités ou autoriser les invités à afficher uniquement leurs propres informations de profil.

Étape 1 : Connectez-vous au centre d'administration Microsoft Entra.
Étape 2 : accédez à Identité > Identités externes > Paramètres de collaboration externe.
Étape 3 : Sous Accès des utilisateurs invités, choisissez le niveau d'accès que vous souhaitez accorder aux utilisateurs invités.

• Option 1 : « Les invités ont un accès égal aux ressources Microsoft Entra et aux données d'annuaire en tant que membres, offrant ainsi le plus haut niveau d'inclusivité. »
• Option 2 (par défaut) : "Les invités ne peuvent accéder à certaines tâches d'annuaire, comme l'affichage des détails des utilisateurs et des groupes, mais peuvent voir l'appartenance à des groupes non masqués."
• Option 3 : « L'accès des invités est limité à leurs propres objets d'annuaire uniquement, ce qui les empêche d'afficher d'autres profils d'utilisateurs, groupes ou adhésions, offrant ainsi le niveau d'accès le plus restrictif. »

4. Appliquer la MFA du locataire principal pour l'accès invité

Lorsque les paramètres de confiance MFA sont activés dans les paramètres d’accès entre locataires, il s’agit d’un excellent moyen d’améliorer la sécurité de votre locataire. Une fois configurés, les utilisateurs invités B2B ont accès à des méthodes d'authentification améliorées avec une vérification plus forte que les options d'authentification multifacteur classiques disponibles uniquement au sein d'un locataire de ressources.

Pour configurer ce paramètre,

Étape 1 : Accédez au Centre d'administration Microsoft Entra -> Identités externes ->Paramètres d'accès entre locataires.
Étape 2 : Sous l'onglet Paramètres par défaut, sélectionnez Modifier les paramètres par défaut entrants.
Étape 3 : Ensuite, dans l'onglet Paramètres de confiance, cochez l'option Faire confiance à l'authentification multifacteur des locataires Microsoft Entra, Faire confiance aux appareils conformes -> Puis Enregistrer.

Échange en ligne

1. Restreindre l'envoi à des destinataires externes :

Pour empêcher les utilisateurs invités d'envoyer des e-mails en dehors de l'organisation, suivez les étapes ci-dessous.

Étape 1 : dans le centre d'administration Exchange, accédez à « Flux de messagerie ».
Étape 2 : sélectionnez Règles et créez une nouvelle règle avec un nom descriptif (par exemple, « Bloquer les e-mails externes »).
Étape 3 : Sous « Appliquer cette règle si », choisissez des conditions telles que l'expéditeur est « en dehors de l'organisation » et le destinataire l'est - sélectionnez un domaine que vous souhaitez bloquer.
Étape 4 : Dans la zone Procédez comme suit, sélectionnez Bloquer le message -> rejeter le message et inclure une explication.

2. Appliquer le chiffrement des messages pour les e-mails externes

Étape 1 : dans le CAE, accédez à Flux de messagerie.
Étape 2 : Sélectionnez Règles et créez une nouvelle règle de flux de messagerie.
Étape 3 : définissez des conditions pour identifier les e-mails envoyés en externe. C'est dans la section Appliquer cette règle si , ajoutez une condition relative au domaine de l'expéditeur et incluez la liste des domaines pertinents dont les messages doivent être chiffrés. Ensuite, une autre condition puisque le destinataire est extérieur à l'organisation.
Étape 4 : Dans la zone Procédez comme suit, sélectionnez Modifier la sécurité des messages -> Appliquer le cryptage Office 365.
Étape 5 : La page volante de sélection du modèle RMS apparaît. Sélectionnez l'étiquette de sensibilité de votre choix et procédez à Enregistrer.

3. Bloquer le partage des détails du calendrier avec des utilisateurs externes

Pour désactiver le partage des détails du calendrier avec des utilisateurs externes, utilisez le Centre d'administration Microsoft 365 :
Étape 1 : Connectez-vous au Centre d'administration Microsoft 365 et développez Paramètres.
Étape 2 : Cliquez sur Paramètres de l'organisation.
Étape 3 : Cliquez sur Calendrier.
Étape 4 : Décochez "Autorisez vos utilisateurs à partager leurs calendriers avec des personnes extérieures à votre organisation qui disposent d'Office 365 ou d'Exchange".
Étape 5 : Cliquez sur Enregistrer.

Remarque - Parfois, les utilisateurs externes bénéficient également d'un accès PowerShell en fonction des exigences. Dans de tels cas, les administrateurs peuvent envisager de restreindre l’accès des utilisateurs externes à PowerShell au sein de l’organisation. Cela permet de garantir que l’accès à PowerShell est contrôlé et aligné sur les mesures et les besoins de sécurité de l’organisation.

En conclusion, la mise en œuvre des paramètres appropriés est nécessaire pour un partage sécurisé des invités dans Microsoft 365. Pour obtenir un aperçu des spécificités des activités externes, vous pouvez exporter les rapports des utilisateurs externes d'Office 365. Merci d'avoir lu! Si vous avez des questions, contactez-nous via la section commentaires.

Investissez dans la sécurité aujourd’hui pour protéger votre avenir ! 💪🔒